In iOS 16 und macOS Ventura haben Apple-Ingenieure einen neue Methode vorgestellt, wie sich ein Nutzer auf einer Seite anmelden kann.<\/p>\n\n\n\n
Ab iOS 16 und macOS Ventura werden die Nutzer und Nutzerinnen deutlich seltener mit den Captcha-Angaben konfrontiert (via Macrumors). Apple bereitet stattdessen eine neue Verifikationsmethode vor, die komplett im Hintergrund abl\u00e4uft, und keine wichtigen Daten an Server-Betreiber oder Zertifikat-Ersteller weitergibt.<\/p>\n\n\n\n
In einem Video von der WWDC 2022 erkl\u00e4rt Apples Entwickler Tommy Pauly Hintergr\u00fcnde der Captcha-Anwendung und wie Apple dies zu ersetzen gedenkt. Captcha (Akronym f\u00fcr “Completely automated public Turing test to tell computers and humans apart”) ist seit Langem im Netz verbreitet, um legitime Nutzer von Angreifern und Bots zu unterscheiden. W\u00e4hrend sich die Seitenbetreiber durch Captcha absichern, gestaltet sich der Anmeldeprozess f\u00fcr Endnutzer durch das st\u00e4ndige Ausw\u00e4hlen von Ampeln, Zebrastreifen, Schiffen, Motorr\u00e4dern oder Hydranten als recht langwierig. Nutzer mit manchen Behinderungen sind gar ausgeschlossen.<\/p>\n\n\n\n
Apple l\u00f6st Probleme mit Captchas
\nApples L\u00f6sung daf\u00fcr sind “Private Access Tokens”, die Captchas zu umgehen. Die Pr\u00e4misse dabei ist, dass die legitimen Nutzer bewiesen haben, dass sie keine Roboter sind, noch bevor sie eine bestimmte Seite aufsuchen. Als Grundlage f\u00fcr ein menschliches Verhalten dienen ein Ger\u00e4t mit der verifizierten Apple-ID, oder eine gestartete App, deren Code bereits signiert ist, oder sie haben ihr Ger\u00e4t zuvor mit dem Passwort, der Touch-ID oder der Face-ID entsperrt. Private Access Tokens sind gewisserma\u00dfen ein Echtheitszertifikat, die gegen\u00fcber dem Webseiten-Betreiber beweisen, dass der Besucher oder die Besucherin ein Mensch ist, ohne die Identit\u00e4t dieses Menschen zu verraten.<\/p>\n\n\n\n
Um dieses Zertifikat herzustellen und zu verifizieren, schalten sich zwischen dem Client, also dem Besucher und dem Server noch zwei zus\u00e4tzliche Instanzen ein. Der sogenannte iCloud-Attester bearbeitet die Anfragen der Endnutzer f\u00fcr ein neues Token. Anhand der g\u00fcltigen Schl\u00fcssel in Secure Enclave des Ger\u00e4ts, und\/oder anhand bestimmten Verhaltensmuster stellt iCloud-Attester fest, dass die Anfrage von einem Menschen kommt. Gleichzeitig bekommt er aber nicht mit, f\u00fcr welchen Server genau die Anfrage bzw. der Token ausgestellt werden soll. Wird der Client, also der Nutzer durch den iCloud-Attester validiert, schickt der Attester eine weitere Anfrage an den Zertifikat-Hersteller f\u00fcr einen neuen Token. Der Zertifikat-Hersteller erh\u00e4lt keine Informationen zur Person des Nutzers, da es aber dem Attester vertraut, wird ein neuer einmaliger Token erstellt. Diese Best\u00e4tigungsdatei wird durch iCloud-Attester dem Client weitergegeben, dieser kann sich wiederum gegen\u00fcber dem Server-Anbieter ausweisen. Der Service-Provider kann anhand des \u00f6ffentlichen Schl\u00fcssels des Zertifikat-Herstellers \u00fcberpr\u00fcfen, dass die Best\u00e4tigungsdatei g\u00fcltig ist, das hei\u00dft, dass der Besucher ein Mensch ist, hat jedoch keine n\u00e4heren Informationen wie IP-Adressen zur Person, kann aber den Zugang zu eigenen Inhalten gew\u00e4hren.<\/p>\n\n\n\n
Was nach einem komplizierten Konstrukt aussieht, funktioniert zumindest in Apples Demo recht schnell, auf jeden Fall schneller als eine Captcha-Eingabe. Apple hat zudem angek\u00fcndigt, dass beim iOS-16-Start Cloudflare und Fastly als Zertifikat-Hersteller aktiv sein werden. Weitere Anbieter k\u00f6nnen sich unter register.apple.comdaf\u00fcr anmelden.<\/p>\n\n\n\n
Private Access Tokens basieren auf einem \u00f6ffentlichen Protokoll von IETF (Internet Engineering Task Force), da in der Arbeitsgruppe neben Apple, Cloudflare und Fastly auch Google-Mitarbeiter teilnehmen, kann man vermuten, dass die Captcha-Umgehung ebenfalls in Android implementiert (wird).<\/p>\n","protected":false},"excerpt":{"rendered":"
In iOS 16 und macOS Ventura haben Apple-Ingenieure einen neue Methode vorgestellt, wie sich ein Nutzer auf einer Seite anmelden kann. Ab iOS 16 und macOS Ventura werden die Nutzer und Nutzerinnen deutlich seltener mit den Captcha-Angaben konfrontiert (via Macrumors). Apple bereitet stattdessen eine neue Verifikationsmethode vor, die komplett im Hintergrund abl\u00e4uft, und keine wichtigen […]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-2273","post","type-post","status-publish","format-standard","hentry","category-uncategorized"],"_links":{"self":[{"href":"http:\/\/www.batteriewelt.com\/akkublog\/index.php?rest_route=\/wp\/v2\/posts\/2273","targetHints":{"allow":["GET"]}}],"collection":[{"href":"http:\/\/www.batteriewelt.com\/akkublog\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"http:\/\/www.batteriewelt.com\/akkublog\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"http:\/\/www.batteriewelt.com\/akkublog\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"http:\/\/www.batteriewelt.com\/akkublog\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=2273"}],"version-history":[{"count":1,"href":"http:\/\/www.batteriewelt.com\/akkublog\/index.php?rest_route=\/wp\/v2\/posts\/2273\/revisions"}],"predecessor-version":[{"id":2274,"href":"http:\/\/www.batteriewelt.com\/akkublog\/index.php?rest_route=\/wp\/v2\/posts\/2273\/revisions\/2274"}],"wp:attachment":[{"href":"http:\/\/www.batteriewelt.com\/akkublog\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=2273"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"http:\/\/www.batteriewelt.com\/akkublog\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=2273"},{"taxonomy":"post_tag","embeddable":true,"href":"http:\/\/www.batteriewelt.com\/akkublog\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=2273"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}